 |
|
S . G . D . S . N
Agence nationale
de la sécurité des
systèmes d'information
|
 |
|
Paris, le 29 novembre 2006
No CERTA-2006-AVI-517 |
Affaire suivie par :
CERTA
AVIS DU CERTA
Objet : Multiples
vulnérabilités dans Apple Mac OS X
Tableau 1: Gestion du document
| Référence |
CERTA-2006-AVI-517 |
| Titre |
Multiples
vulnérabilités dans Apple Mac OS
X |
| Date de la première
version |
29 novembre 2006 |
| Date de la dernière
version |
- |
| Source(s) |
Bulletin de mises à jour
Apple 2006-007 du 28 novembre 2006 |
| Pièce(s) jointe(s) |
Aucune |
|
Une gestion de version détaillée se trouve
à la fin de ce document.
- Exécution de code arbitraire à distance
;
- contournement de la politique de
sécurité.
- Apple Mac OS X v10.3.9 ;
- Apple Mac OS X Server v10.3.9 ;
- Apple Mac OS X v10.4.8 ;
- Apple Mac OS X Server v10.4.8.
De multiples vulnérabilités ont été
identifiées dans le système d'exploitation Apple
Mac OS X. Certaines pourraient, si elles sont exploitées
par une personne malveillante, provoquer l'exécution de
code arbitraire à distance.
De multiples vulnérabilités ont
été identifiées dans le système
d'exploitation Apple Mac OS X. Parmi celles-ci :
- une vulnérabilité des pilotes de cartes
sans-fil Airport : ils n'interpreteraient pas
correctement des paquets répondant à une
requête de sondage (de type Probe). Une
personne malveillante pourrait donc émettre un paquet
malformé, en réponse à une
requête, afin de provoquer l'exécution de
commandes arbitraires à distance. Les solutions de
sécurité comme WPA, VPN, 802.11i ne
protègent pas de cette catégorie d'attaques
visant directement le pilote de la carte réseau. Le
CERTA mentionne ce problème dans le bulletin
d'actualité CERTA-2006-ACT-046 ;
- une vulnérabilité de CFNetwork :
les URI (pour Uniform Resource
Identifier) FTP ne sont pas validées
correctement. Une personne pourrait, en visitant un site FTP
construit de manière malveillante, lancer à son
insu des commandes FTP contre un site tiers ;
- plusieurs vulnérabilités dans
clamAV pour Mac OS X Server ;
- des vulnérabilités dans OpenSSL pour MacOS.
Celles-ci ont été abordées dans des avis
du CERTA, notamment CERTA-2006-AVI-421 et CERTA-2006-AVI-448
;
- des vulnérabilités de PHP :
certaines ont été décrites dans l'avis
du CERTA CERTA-2006-AVI-481 ;
- une vulnérabilité de PPP : une
personne malveillante pourrait, sur le même
réseau qu'une machine vulnérable, envoyer un
paquet spécialement conçu, afin de perturber
PPPoE. Cela permettrait sous certaines conditions
d'exécuter des commandes arbitraires à
distance. PPPoE n'est cependant pas activé
par défaut.
Se référer au bulletin de
sécurité de l'éditeur Apple pour
l'obtention des correctifs (cf. section Documentation).
- 29 novembre 2006
- version initiale.
CERTA
2012-01-04
|
|
)
